Blazor Server应用页面“穷人式安全”实现方案咨询

这种仅防范非恶意访问的“穷人式安全”，核心是用可配置的密钥作为路由准入条件。Blazor无法直接在@page指令中引用配置变量，我们可以通过以下两种方式实现需求：

方式一：组件内直接验证（简单直接） #

1. 在appsettings.json配置密钥 #

先把验证密钥存入配置文件，方便后续修改：

{
  "AppSettings": {
    "AdminAccessCode": "1234"
  }
}

2. 组件中注入配置并定义带参数路由 #

在需要保护的Razor组件中，注入配置服务并定义带参数的路由：

@inject IConfiguration Configuration
@inject NavigationManager NavigationManager

@page "/admin/code/{accessCode}"

<!-- 组件内容 -->

3. 验证路由参数 #

在组件生命周期方法中校验传入的密钥是否匹配配置值，不匹配则跳转至无权限页面：

@code {
    [Parameter]
    public string? AccessCode { get; set; }

    protected override void OnParametersSet()
    {
        var validCode = Configuration["AppSettings:AdminAccessCode"];
        if (string.IsNullOrWhiteSpace(AccessCode) || AccessCode != validCode)
        {
            // 验证失败，跳转到首页或自定义404页面
            NavigationManager.NavigateTo("/");
        }
    }
}

方式二：自定义路由约束（全局复用，更优雅） #

如果多个页面需要相同验证逻辑，可以通过自定义路由约束实现全局校验：

1. 创建路由约束类 #

public class AdminCodeRouteConstraint : IRouteConstraint
{
    private readonly string _validCode;

    public AdminCodeRouteConstraint(IConfiguration configuration)
    {
        _validCode = configuration["AppSettings:AdminAccessCode"] ?? string.Empty;
    }

    public bool Match(HttpContext? httpContext, IRouter? route, string routeKey, RouteValueDictionary values, RouteDirection routeDirection)
    {
        if (values.TryGetValue(routeKey, out var value) && value is string accessCode)
        {
            return accessCode == _validCode;
        }
        return false;
    }
}

2. 注册路由约束 #

在Program.cs中注册自定义约束：

builder.Services.AddRouting(options =>
{
    options.ConstraintMap.Add("admincode", typeof(AdminCodeRouteConstraint));
});

3. 组件中使用约束路由 #

直接在@page指令中使用约束，只有参数匹配配置密钥时才会命中路由：

@page "/admin/code/{accessCode:admincode}"

<!-- 组件内容 -->

这种方式下，密钥不匹配时Blazor会直接返回404，无需在组件内重复写验证逻辑。

内容的提问来源于stack exchange，提问作者Rod